यूएई में एक पहचान- सुरक्षा या विशेष-प्रवेश-प्रबंधन कंपनी कैसे स्थापित करें

आरंभिक बिंदु साधारण कंपनी निर्माण है: दुबई में डीईटी, अन्यत्र के आर्थिक विकास के समकक्ष विभाग, या एक फ्री-ज़ोन प्राधिकरण, ऐसी गतिविधि के तहत लाइसेंस जारी करना जैसे आईटी परामर्श, सॉफ़्टवेयर विकास या सूचना-सुरक्षा परामर्श। कोई "प्रिविलेज्ड एक्सेस मैनेजमेंट" या "आइडेंटिटी गवर्नेंस" गतिविधि कोड नहीं रखता, इसलिए कंपनी का पहले मुख्य रूप से एक तकनीकी व्यवसाय के रूप में लाइसेंस होता है।

इसके बाद विश्लेषण को बदलने वाली चीज़ सेवा है, लाइसेंस नहीं। जो विक्रेता PAM सॉफ़्टवेयर इस तरह बेचता है कि ग्राहक उसे स्वयं इंस्टॉल करे और चलाए, वह सामान्य सॉफ़्टवेयर व्यवसाय के अधिक निकट होता है। जो प्रदाता वॉल्ट का संचालन करता है, यानी एडमिनिस्ट्रेटर क्रेडेंशियल रखता है या ब्रेक-ग्लास प्रक्रिया का प्रबंधन करता है, वह किसी अन्य के सिस्टम पर परिचालन नियंत्रण ले रहा होता है। इसी से तय होता है कि किसी भी लाइव सिस्टम से जुड़ने से पहले ग्राहक की सुरक्षा और खरीद टीमें UAE कंपनी से क्या प्रदर्शित करने को कहेंगी।

जहाँ अंतिम ग्राहक स्वयं विनियमित है, जैसे कोई बैंक, एक्सचेंज या सरकारी इकाई। उसका अपना नियामक आउटसोर्सिंग और एक्सेस-नियंत्रण की अपेक्षाएँ तय करता है, जिन्हें ग्राहक फिर अनुबंध के माध्यम से आपूर्तिकर्ताओं पर लागू करता है। UAE कंपनी उन्हीं शर्तों से बाध्य होती है जो ग्राहक अपेक्षित करता है; उसे उस नियामक द्वारा सीधे लाइसेंस नहीं दिया जाता।

दो स्रोत एक लाइसेंस श्रेणी से अधिक महत्वपूर्ण हैं। संघीय डिक्री-कानून संख्या 45, 2021 के मुताबिक, जो यूएई के अंदर किसी के व्यक्तिगत डेटा के प्रसंस्करण को नियंत्रित करता है, DIFC और ADGM के लिए छूट के साथ, जो अपने स्वयं के डेटा-संरक्षण कानून लागू करते हैं। एक्सेस लॉग्स और क्रेडेंशियल मेटाडेटा में नियमित रूप से व्यक्तिगत डेटा शामिल होता है, इसलिए एक पीएएम या आइडेंटिटी-गवर्नेंस ऑपरेटर वह डेटा नियंत्रक या प्रोसेसर होता है जो इसे छूता है, कानून की सामान्य सुरक्षा और उल्लंघन हैंडलिंग कर्तव्यों के साथ।

यूएई साइबर सुरक्षा परिषद राष्ट्रीय साइबर सुरक्षा रणनीति का समन्वय करता है, जिसका उद्देश्य महत्वपूर्ण अवसंरचना की सुरक्षा करना और सरकार और निजी क्षेत्र के भागीदारों में घटना प्रतिक्रिया में सुधार करना है। यह निजी पहचान-सुरक्षा विक्रेताओं को लाइसेंस नहीं करता है, लेकिन जब कोई ग्राहक इसे महत्वपूर्ण अवसंरचना के रूप में मानता है, तो परिषद की अपेक्षाएं आमतौर पर ग्राहक के अपने सुरक्षा और घटना रिपोर्टिंग क्लॉज के माध्यम से विक्रेता तक पहुँचती हैं, सीधे लाइसेंस के बजाय। जो कंपनियां क्रिप्टोग्राफिक सामग्री को सीधे छूती हैं, न कि केवल एक्सेस कंट्रोल को, उन्हें पोस्ट-क्वांटम क्रिप्टोग्राफी या सुरक्षित-संचार कंपनी के लिए अलग मार्ग की जांच करनी चाहिए।

उपकरण एकमात्र ऐसा क्षेत्र है जहां दूरसंचार और डिजिटल सरकार नियामक प्राधिकरण (TDRA) की एक सीधी भूमिका है: हार्डवेयर और नेटवर्क उपकरण जिसमें यूएई में उपयोग किया गया, बेचा गया या वितरित किया गया, आमतौर पर उपयोग से पहले TDRA पंजीकरण की आवश्यकता होती है। एक शुद्ध सॉफ़्टवेयर या SaaS व्यवसाय आमतौर पर इसे ट्रिगर नहीं करता है, लेकिन एक विक्रेता जो हार्डवेयर सुरक्षा मॉड्यूल या नेटवर्क उपकरण भेजता है, उसे आयात से पहले पंजीकरण की जांच करनी चाहिए।

कंपनी का अपना UAE कॉर्पोरेट खाता खोलना वह चरण है जहाँ क्रेडेंशियल की अभिरक्षा केवल तकनीकी नहीं, बल्कि बैंकिंग से जुड़ा प्रश्न भी बन जाती है। बैंक पूछेगा कि कंपनी ग्राहक के परिवेश के भीतर क्या देख और छू सकती है, एक्सेस कैसे लॉग किया जाता है, और आपातकालीन ओवरराइड को कौन अनुमोदित कर सकता है। यह सॉफ़्टवेयर रीसेलर की तुलना में मैनेज्ड-सर्विस प्रदाता की समीक्षा के अधिक निकट है। खाता खोलने की पहली बैठक से पहले इसकी तैयारी करना उचित है; देखें कॉर्पोरेट बैंक खाते की तैयारी।

एंटरप्राइज़ और सरकारी ग्राहक एक्सेस देने से पहले अपना आपूर्तिकर्ता मूल्यांकन करते हैं, जिसमें कर्मचारियों की जाँच, कर्तव्यों का पृथक्करण और रिकवरी व्यवस्थाएँ शामिल हैं। एक विश्वसनीय उत्तर सामान्य परिचालन मॉडल को विफलता की स्थिति से अलग रखता है: घटना-प्रतिक्रिया का नेतृत्व कौन करता है, और यदि किसी प्रिविलेज्ड सत्र का दुरुपयोग हो तो हानि कौन वहन करता है। वित्तपोषित योजना का प्रमाण, यानी अनुबंध, स्टाफ़िंग और बुनियादी ढाँचा जो पहले से प्रतिबद्ध हैं, भविष्य के इरादे के विवरण से अधिक वज़न रखता है; देखें बिज़नेस प्लान और दस्तावेज़ीकरण।

एक पीएएम या आइडेंटिटी-गवर्नेंस व्यवसाय को अपने नियंत्रण के पीछे नामित व्यक्तियों की आवश्यकता होती है, न कि केवल एक शेयरधारक रजिस्टर। ग्राहक क्रेडेंशियल वाल्ट के लिए एक परिभाषित मालिक, इमरजेंसी एक्सेस के लिए एक अलग स्वीकर्ता की अपेक्षा रखते हैं ताकि वही व्यक्ति दोनों विशेषाधिकार सत्रों को अधिकृत और उपयोग न करे, और एक घटना-प्रतिक्रिया संपर्क जो कार्यालय के बाहर उपलब्ध हो। नाम मात्र के निदेशक जो वास्तव में एक्सेस निर्णय नहीं ले रहे हैं, उस कंपनी की हर सुरक्षा प्रश्नावली को कमजोर करते हैं जो पूर्ण करने के लिए कहा जाता है।

जहाँ स्वामित्व में विदेशी निवेशक, कई होल्डिंग स्तर, या व्यक्तिगत और कॉर्पोरेट शेयरधारकों का मिश्रण शामिल हो, वहाँ गठन का मार्ग और बैंक या ग्राहक द्वारा माँगे जाने वाले दस्तावेज़ अधिक जटिल हो जाते हैं; देखें विनियमित और जटिल स्वामित्व वाली स्थापनाएँ। जहाँ खाता खोलने के दौरान निवेशक के अपने वित्तपोषण इतिहास की जाँच की जाएगी, वहाँ उस प्रमाण को बैंक के माँगने के बाद नहीं, बल्कि समानांतर रूप से तैयार करें; देखें संपत्ति और धन के स्रोत।

सामान्य विफलता संरचनात्मक होती है, न कि प्रशासनिक। एक सार्वभौमिक समर्थन क्रेडेंशियल जिसका हर इंजीनियर उपयोग कर सकता है, उसे ऑडिट ट्रेल हटा देता है जिसके लिए एक ग्राहक भुगतान कर रहा होता है। एक व्यवस्थापक को विशेषाधिकार प्राप्त करने और उपयोग करने के लिए अनुदान देने की अनुमति देना उस नियंत्रण को कमजोर करता है जो उत्पाद बेचने के लिए अभिप्रेत है। आपातकालीन पुनर्प्राप्ति को एक नामित व्यक्ति या एक क्षेत्र पर निर्भर बनाना हर ग्राहक के लिए एक संकट में बदल देता है जिसे कंपनी सेवाएं देती है। अनुबंध की शर्तों के तहत एक प्रबंधित, क्रेडेंशियल-होल्डिंग सेवा को बेचना जो केवल सॉफ़्टवेयर डिलीवरी के लिए लिखी गई हैं, कंपनी को उस नियंत्रण के लिए उत्तरदायी छोड़ देता है जिसे उसने कभी मूल्य नहीं दिया।

दूसरी आम विफलता बिना दस्तावेज़ वाला साझेदार संबंध है। जहाँ सेवा का कुछ भाग किसी अन्य प्रदाता के पास है (होस्टिंग, कोई विशिष्ट इंटीग्रेशन या कार्य-समय के बाहर की प्रतिक्रिया), वहाँ अनुबंध में दायरा, मानक, प्रमाण तक पहुँच, दायित्व और समाप्ति लिखित रूप में बताई जानी चाहिए, इससे पहले कि ग्राहक यह मान ले कि पूरी सेवा UAE कंपनी की है।

लाइसेंस जारी होने के बाद, वीज़ा, परिसर और नवीनीकरण किसी भी टेक्नोलॉजी कंपनी के समान नियमों का पालन करते हैं, एक अतिरिक्त बात के साथ: जो कर्मचारी प्रिविलेज्ड एक्सेस रखेंगे या अनुमोदित करेंगे, उनके बारे में ग्राहक की जाँच प्रक्रिया नाम लेकर पूछेगी, इसलिए भर्ती का क्रम पहले एंटरप्राइज़ अनुबंध से पहले रखा जाना चाहिए, उसके बाद नहीं। मेनलैंड (mainland) वाणिज्यिक लाइसेंस शुल्क DET द्वारा चुने गए कानूनी स्वरूप और गतिविधि के अनुसार तय किया जाता है, और केवल-लाइसेंस वाला फ्री ज़ोन (free zone) पैकेज आमतौर पर सस्ता होता है, पर ज़ोन के अनुसार अलग-अलग होता है; बजट बनाने से पहले वर्तमान शुल्क सीधे DET या चुने गए फ्री ज़ोन से प्राप्त करें, क्योंकि किसी भी मार्ग का शुल्क उस इंजीनियरिंग, जाँच और घटना-प्रतिक्रिया क्षमता को कवर नहीं करता जिसके वित्तपोषित होने की अपेक्षा कोई ग्राहक या बैंक करेगा। Federal Tax Authority (FTA) में कॉर्पोरेट टैक्स पंजीकरण कंपनी के लिए, एक विधिक व्यक्ति के रूप में, FTA Decision No. (3) of 2024 द्वारा निर्धारित समय-सीमा के भीतर आवश्यक है, जो निगमन या लाइसेंस जारी होने से गिनी जाती है, न कि उस समय से जब व्यवसाय व्यापार शुरू करता है। FTA पंजीकरण को निःशुल्क बताता है, ट्रेड लाइसेंस, निगमन प्रमाणपत्र या मेमोरेंडम ऑफ एसोसिएशन (MOA), तथा 25% से अधिक हिस्सा रखने वाले किसी भी स्वामी और अधिकृत हस्ताक्षरकर्ताओं की Emirates ID और पासपोर्ट माँगता है, और पूर्ण आवेदन प्राप्त होने से 20 कार्य दिवस लेता है। लाइसेंस शुल्क के अतिरिक्त, लागत परतों में बनती है, और Velarozone का अपना शुल्क एंगेजमेंट लेटर (engagement letter) में मदवार दर्शाया जाता है; देखें Velarozone कैसे काम करता है।